Уваход праз VPN не дае правоў лакальнага адміністратара

Тры рэчы блытаюцца, калі хтосьці пытае, ці дае працоўны VPN кампаніі правы адміністратара на асабістым камп’ютары: дасягальнасць, усталяванне праграм і кіраванне прыладай. Злучэнне VPN дае першае, кліенцкі пакет прыносіць другое, і толькі асобная рэгістрацыя дае трэцяе. Механізм за кожным з іх розны, і толькі адзін з іх прадугледжвае ўліковыя даныя Windows.

Нішто ў тунелі не ператварае даменны ўліковы запіс у лакальны.

Сеткавы шлях, а не ўліковыя даныя

Тунель робіць рэсурсы кампаніі дасяжнымі і можа даць шлях да самога кліента з улікам маршрутызацыі, ізаляцыі кліента і фільтраў хоста. Ён не стварае лакальны ўліковы запіс Windows, не павышае правы існуючага і не дадае каго-небудзь у лакальную групу. Служба, якая слухае на машыне, захоўвае ўласную палітыку допуску незалежна ад таго, з якой сеткі прыйшоў запыт. Таму адкрытыя агульныя рэсурсы і канчатковыя кропкі аддаленага кіравання ўсё яшчэ патрабуюць наўмыснай абароны.

Абсяг тунеля — асобнае пытанне: поўны тунель пераносіць больш трафіку праграм, чым раздзелены, і ні адзін з абсягаў не дае доступу да файлаў на дыску.

Кліент — гэта пакет, а не труба

Карпаратыўныя кліенты модульныя. Разгортванне можа ўключаць тунель плюс кампаненты паставы, фільтравання або бяспекі, кожны са сваёй канфігурацыяй і сваімі паводзінамі збору. Выводзіць усталяваны набор з назвы прадукту або значка злучэння — гэта здагадка. Гэтыя кампаненты могуць кіравацца ўласнай палітыкай модуля, а не часам жыцця сеансу, таму адключэнне тунеля не з’яўляецца ўніверсальнай кнопкай стоп.

Інвентарызацыя ўсталяваных кампанентаў адказвае на іншае пытанне, чым значок злучэння.

Скрыпты выконваюцца ад вашага імя, а не як root

Кліенцкія скрыпты існуюць, і іх варта разумець: дакументаваныя хукі злучэння і адключэння могуць выконвацца падчас сеансу, і яны застаюцца адключанымі, пакуль профіль і разгортванне не дазволяць іх. У Windows яны працуюць у межах існуючых абмежаванняў бяспекі карыстальніка, таму могуць выклікаць толькі тое, на што гэты карыстальнік мае права. Уключэнне хука — гэта рэальная дадатковая магчымасць; апісваць яго як аўтаматычнае прадастаўленне правоў адміністратара няправільна.

Розніца важная ў абодва бакі. Гэта больш за пасіўную трубу і менш за даменны ўліковы запіс адміністратара.

Дастаўка і абнаўленні — гэта сапраўдная мяжа даверу

Той, хто кантралюе пакет і канал абнаўленняў, мае больш паўнамоцтваў, чым вэб-сайт, якому вы далі пароль, бо ён можа змяніць тое, што выконваецца на машыне. Гэта законная прычына правесці агляд таго, як кліент дастаўляецца і абнаўляецца, перш чым усталёўваць яго. Гэта ўсё яшчэ не тая ж аперацыя, што далучэнне да дамена або рэгістрацыя ў кіраванні, якія застаюцца асобнымі адносінамі са сваім бачным статусам.

Калі арганізацыя патрабуе кіраваную прыладу, выкарыстоўвайце яе зацверджаны парадак працоўнай прылады, а не меркавайце, што асабісты кліент можа даць гэты статус. Калі машына ўжо зарэгістравана, адключэнне тунеля не адмяняе рэгістрацыю.

Папрасіце інвентарызацыю таго, што ўсталявана і хто кантралюе яго абнаўленні. На гэтае пытанне ёсць адказ; на супакаенне — няма.